店家官網被駭或外掛有漏洞怎麼辦？Search Console 安全性問題處理順序

某天客人傳訊息說：「你們的網站打開跳出紅色警告，說可能有危險。」或是你在 Google 搜尋自己的店名，下面冒出一排看不懂的藥品、賭博頁面，網址卻是你家的網域。也可能只是聽說「常用的某個外掛有漏洞」，不知道自己的網站有沒有中。這篇給自己有官網、但不一定會寫程式的店家老闆：依 Google 搜尋中心、Search Console 說明與 web.dev 的遭入侵網站指南，整理怎麼發現、發現後先做什麼、怎麼要求 Google 審查，最後附一張預防檢查表。攻擊手法與漏洞細節不在本文範圍，處理技術面的工作請交給你的網站維護者。

先判斷：是被入侵，還是別的問題

網站「怪怪的」不一定是被駭。先對照症狀，再決定往哪個方向查：

你看到的症狀	比較可能是	先去哪裡看
搜尋結果出現不是你寫的網頁，標題是藥品、賭博或亂碼	網站遭入侵（被植入網頁或內容）	site: 搜尋、Search Console 安全性問題報告
搜尋結果在你的網站下方顯示「這個網站可能已遭入侵」	Google 認為網頁可能被駭客變更或新增垃圾網頁	Search Console 安全性問題報告
打開網站前，瀏覽器跳出整頁的紅色警告	Google 安全瀏覽偵測到惡意軟體、網路釣魚或有害下載	Search Console 安全性問題報告、安全瀏覽網站狀態
從 Google 點進去會被轉到別的網站，直接輸入網址卻正常	網站遭入侵（有條件的重新導向）	交給維護者用網址檢查工具與指令列工具確認
搜尋自己的網站完全找不到，但沒有任何警告	收錄問題，不一定跟安全有關	見網站在 Google 搜尋不到的檢查步驟
網站打開很慢，但內容正常	速度問題	見Core Web Vitals 三項指標與檢查方法

Google 垃圾內容政策對「遭入侵的內容」的定義，是有心人士利用網站安全漏洞、在未經授權的情況下置入網站的內容。政策也提醒，你現有的網頁可能看起來完全正常，被新增的網頁卻可能對訪客有害，或影響網站的搜尋排名。所以「首頁看起來沒事」不能當成沒被入侵的證據。

四個發現管道

管道一：Search Console 的安全性問題報告與訊息

這是最可靠的來源。Search Console 說明寫明：Google 判定網站遭到入侵，或網站有可能危害訪客與其電腦的情況時，會在安全性問題報告顯示調查結果；沒有問題時會看到綠色勾號。報告裡的問題分成三大類：

• 遭入侵的內容：有心人士藉由安全漏洞，在未經授權的情況下置入網站的內容。
• 惡意軟體或垃圾軟體：刻意危害裝置或使用者、涉及欺騙或對使用者造成負面影響的軟體，可能由駭客安裝，也可能由網站擁有者自己裝上。
• 社交工程：誘騙訪客提供機密資訊或下載軟體的內容，例如仿冒登入頁。

展開問題說明可以看到受影響的示例網址，以及系統首次偵測到問題的日期。要注意兩點：示例清單不一定包含所有受影響的網址；有時報告列出問題卻沒有示例，也不代表沒有網頁受影響。另外，Google 搜尋中心〈防止惡意軟體感染〉提到，偵測到惡意軟體時 Search Console 的訊息面板會顯示通知，可以設定轉寄到電子郵件，才不會漏看。

管道二：搜尋結果的「這個網站可能已遭入侵」

Google 搜尋說明指出，當 Google 認為駭客可能已變更網站上的某些網頁，或新增了垃圾網頁，就會在搜尋結果顯示「這個網站可能已遭入侵」。要移除這則訊息，網站擁有者必須在 Search Console 註冊並驗證網站、到「安全性問題」查看示例網址並修正，確認清除完畢後提交審查要求。客人看到這行字通常就不會點進來，越早處理越好。

管道三：瀏覽器的警告頁與安全瀏覽網站狀態

Search Console 說明寫明，受安全性問題影響的網頁在搜尋結果會顯示警告標籤，使用者造訪時瀏覽器也會顯示插頁式警告網頁。這些警告來自 Google 安全瀏覽，官方網站說明 Chrome 和其他瀏覽器都會使用安全瀏覽，在使用者前往危險網站或下載有害檔案前顯示警告。透明度報告有一個網站狀態查詢工具，可以輸入網址查看安全瀏覽目前是否判定該網站含有危險內容。

常見的困惑是「我自己打開都正常」。Search Console 說明直接回答：安全瀏覽會根據瀏覽情境向使用者顯示警告，所以你不一定能重現，但仍應以安全性問題報告為可靠資料來源，確認網站有沒有問題、問題是否已修正。

管道四：自己用 site: 搜尋定期巡一次

Google 搜尋中心建議定期在 Google 搜尋輸入 site:你的網域，看看 Google 在你的網站上找到哪些網頁；如果看到不明網頁，或不是由你撰寫的主題，表示網站可能已遭入侵。web.dev 的〈How do I know if my site was hacked?〉也建議用 site: 搜尋，加上 Search Console 的網址檢查工具一起確認，因為有些被植入的內容只會顯示給搜尋引擎看。web.dev〈FAQ for hacked sites〉另外列出幾個常見跡象：來自不相關搜尋字詞的異常流量、訪客回報惡意軟體、新出現具管理員權限的帳號、網站上多了可疑的新網頁。

發現之後的處理順序

web.dev 的遭入侵網站指南把復原拆成好幾個階段。整理成店家看得懂的順序如下，每一步標出誰負責：

順序	做什麼	誰做
1	保全證據：截圖、記錄日期、保留 Search Console 訊息	老闆自己
2	找支援：通知主機商與網站維護者，判斷能不能自己處理	老闆自己
3	隔離與清查帳號：暫停網站對外、刪除不明帳號、更換所有密碼、檢查 Search Console 擁有者	維護者為主，老闆確認
4	清除與修補：還原或清理檔案、更新軟體、移除不用的外掛、修補漏洞根源	維護者
5	要求審查：所有網頁、所有問題都修完後，在安全性問題報告送出	擁有者帳號送出
6	建立長期維護計畫	老闆與維護者一起定

第 1 步：先保全，不要急著刪

第一個反應常是「趕快把怪頁面刪掉」，但先留下紀錄，後面才查得出問題從哪裡來。可以先做：

• 截圖安全性問題報告的問題名稱、示例網址、首次偵測日期，以及搜尋結果與瀏覽器的警告畫面。
• 記下你發現的時間、誰回報的、最近有沒有人改過網站或裝過新外掛。
• 保留 Search Console 的訊息。web.dev〈Use Search Console〉提醒，收到網路釣魚通知時，整個復原流程完成前不要刪除這則訊息。
• web.dev〈Clean and maintain your site〉建議，即使網站已經被感染，清理前也要先把目前的網站檔案與資料庫備份起來，並標註「已感染」，跟乾淨的備份分開。這份備份是給維護者比對與救回誤刪內容用的。

如果網站有會員、預約表單、線上訂購，可能存有顧客資料。web.dev 提醒，若有機密使用者資訊被取得，在清理網站或刪除檔案之前，要先考慮商業、法規或法律上的責任。依現行個人資料保護法第 12 條，違反本法規定致個人資料被竊取、洩漏、竄改或其他侵害時，應查明後以適當方式通知當事人。小店的資料外洩處理順序可以參考店家蒐集顧客資料的個資檢查表，個案請洽詢律師或主管機關。

第 2 步：找支援，判斷能不能自己處理

web.dev〈Build a support team〉列出要準備的支援：能聯絡到主機商（告訴他們網站被入侵，主機商可以確認其他客戶有沒有受影響，也可能協助復原）、找到可信的線上資源與社群（例如 Google 搜尋中心說明社群）。官方也直說，自己修正網站需要看得懂程式碼、會用指令列伺服器工具，可能還要修改網頁伺服器設定；做不到的話，考慮請合格的專業人員協助。

如果網站是廠商做的，現在就是翻出合約的時候：維護範圍有沒有包含安全事件、多久內回應、另外怎麼計費。合約該寫哪些條款，可以對照行銷外包合約檢查表。

第 3 步：隔離網站、清查帳號

web.dev〈Quarantine your site〉建議先讓網站暫停對外提供內容，例如停止網頁伺服器，或把網域指向另一台伺服器上回傳 503 狀態碼的靜態頁面，這樣處理時比較不受駭客干擾，訪客也不會接觸到有害內容。官方說明，復原期間暫時或間歇性下線，不太可能影響日後的搜尋排名。要注意兩件事：

• 只讓網站回傳 4xx 或 5xx 狀態碼還不夠，有害內容仍可能跟著回應送出；503 要從被入侵的伺服器或網站以外的地方回應。
• 用 robots.txt 擋掉也不夠，因為它只擋搜尋引擎的檢索器，一般訪客還是看得到有害內容。

接著清查帳號：列出網站所有使用者帳號，看有沒有駭客新建的帳號，記下帳號名稱後刪除；然後更換所有密碼，包含 FTP、資料庫、系統管理員與內容管理系統（網站後台）的帳號。

Search Console 也要查。web.dev〈Use Search Console〉提醒，駭客可能已經自己驗證成 Search Console 擁有者並改了設定：打開「使用者和權限」，確認列出的使用者與擁有者都是你授權的；不明的擁有者除了刪除，還要移除對方留下的驗證憑證，例如首頁的驗證 meta 標記或伺服器上的 HTML 驗證檔。設定頁也要看有沒有被改，例如檢索頻率被調低、移除工具或網址變更工具裡有沒有不尋常的項目。

第 4 步：清除與修補（維護者執行）

這一步的做法取決於你手上有沒有乾淨的備份。web.dev〈Clean and maintain your site〉分成三種情況：

備份狀況	官方建議的方向
有乾淨而且是最近的備份	還原備份，安裝所有可用的軟體升級與修補，考慮移除不再使用的外掛或應用程式，修補漏洞，最後再換一次所有密碼
有乾淨但比較舊的備份	先把目前已感染的網站完整備份並標註，再還原舊備份、升級所有軟體、修補漏洞，比對新舊差異，只把確認乾淨的新內容搬回去，最後換密碼
沒有備份	先做兩份已感染網站的備份，在備份副本上逐一清理被入侵的檔案與資料庫紀錄，修補漏洞，換密碼

不管哪一種，官方都強調幾件事：軟體要升級到最新、最安全的版本，包含內容管理系統、外掛、佈景範本；最好是全新安裝而不只是升級，因為升級可能留下舊版本的檔案，被感染的檔案留在伺服器上，網站就更容易再次被入侵；一定要找出並修正讓駭客進來的根本原因，否則清完還會再來。

駭客新建的網頁要讓伺服器回傳 404，它們會隨時間從 Google 索引中消失。想加快移除，可以用 Search Console 的移除工具，但 web.dev 提醒：這個工具只用在永遠不想出現在搜尋結果的網頁，原本正常、只是被竄改過的網頁不要拿去移除，因為清乾淨之後你還希望它們出現。清好的網頁可以用網址檢查工具要求重新檢索，這是選擇性的步驟。

web.dev〈FAQ for hacked sites〉列出的常見入侵途徑包括：軟體漏洞、外洩或被猜中的密碼、沒有驗證保護的管理頁面等。換句話說，「外掛沒更新」和「密碼太弱」是店家最該先排除的兩件事。

第 5 步：要求審查

web.dev〈Request a review〉列出送審前的前提：已在 Search Console 驗證網站擁有權、已清除駭客造成的破壞、已修正漏洞、乾淨的網站已重新上線。網頁也必須能讓 Googlebot 檢索，不能被 robots.txt 或 noindex 擋住，Google 才能確認已經清乾淨。

Search Console 說明對送審的要求很明確：

• 修正網站上所有網頁的問題。只修正部分網頁，也無法讓這些網頁出現在搜尋結果中。
• 報告列出多個問題時，全部修正。
• 修完後在安全性問題報告選取「要求審查」，說明要明確寫出網站的問題、修正時採取的行動、行動獲得的成果。
• 處理中的要求做出判定前，不要重複提交。沒修好就送審，可能要等更久才能再送，Google 甚至可能把網站標示為屢次違規網站。

Google 搜尋中心〈安全瀏覽累犯政策〉說明，網站在短時間內屢次出現違規行為會被視為「累犯」，累犯期間無法透過 Search Console 要求審查，狀態維持 30 天，期滿後才能再提出。所以「先送送看」是最不划算的做法。

審查需要的時間，web.dev〈Request a review〉寫的是：

問題類型	審查時間
遭入侵並被放垃圾內容	可能要幾週（可能涉及人工調查或重新處理被入侵的網頁）
惡意軟體	幾天，結果會出現在 Search Console 的訊息
網路釣魚	約一天

Google 確認網站乾淨後，瀏覽器與搜尋結果的警告會在 72 小時內移除。如果判定還沒修好，報告可能會列出更多示例網址，協助下一輪調查。Search Console 說明則寫大多數重審需要幾天到幾週，審查開始與結束都會用電子郵件通知。

審查說明怎麼寫（示意）

web.dev 建議每一類問題都簡短說明怎麼清理。官方舉的例子是：針對植入內容的網址，移除了垃圾內容，並更新過時的外掛修正漏洞。照這個結構寫，交給維護者確認技術細節後，再由擁有者帳號送出：

（示意）問題：安全性問題報告列出「遭駭問題：植入網址」，示例網址為○○開頭的藥品頁面，首次偵測日期為○月○日。採取的行動：刪除駭客建立的頁面與產生頁面的檔案，這些網址現在回傳 404；刪除後台兩個不明管理員帳號並更換所有密碼；將網站系統、佈景與所有外掛更新到最新版，移除三個未使用的外掛。成果：以網址檢查工具確認首頁與服務頁內容正常，site: 搜尋未再發現新的不明頁面。

跟維護者確認的 8 個問題

老闆不一定要懂技術，但要知道事情有沒有做完。處理期間可以照這張表逐項問：

#	要問的事	為什麼要問
1	網站現在有沒有暫停對外？用什麼方式？	回傳錯誤碼或 robots.txt 都不足以保護訪客
2	有沒有找到不明帳號？刪了幾個？	駭客常留帳號方便再次登入
3	哪些密碼已經換過？	FTP、資料庫、系統管理員、網站後台都要換
4	Search Console 有沒有不明的使用者或擁有者？	不明擁有者要連驗證憑證一起移除
5	入侵的原因找到了嗎？	沒找到根本原因，清完很可能再被入侵
6	用的是哪一份備份？什麼時候做的？	要確認備份是在被入侵之前
7	有沒有顧客資料可能外流？	涉及個資通知義務，要在清理前先評估
8	安全性問題報告列的每一個問題都修完了嗎？	只修一部分就送審會延長警告時間

預防檢查表

web.dev 的長期維護建議包括：定期自動備份、持續更新軟體、安裝外掛與第三方軟體前了解它的安全做法、要求使用高強度密碼、讓登入用的裝置保持更新。Google 搜尋中心〈防止惡意軟體感染〉也建議把網站用到的所有軟體和外掛列成清單、追蹤版本與更新，並提醒在網站上架設功能卻忘了維護是常見錯誤。整理成店家可以照做的檢查表：

項目	完成標準	建議頻率（示意）
軟體與外掛清單	列出網站系統、佈景、每個外掛的名稱與目前版本	有新增或移除就更新
外掛與佈景更新	都在最新版本；聽說某個外掛有漏洞時，先查自己有沒有裝、版本是不是已修正	每月至少看一次
移除不用的外掛	停用但沒刪除的外掛、測試用的佈景都刪掉	每季
管理員帳號	逐一核對每個帳號是誰在用，離職員工、合作結束的廠商帳號刪除	每季，人員異動時立即
密碼	網站後台、主機、FTP、資料庫、網域帳號各用不同的高強度密碼；後台提供兩步驟驗證就開啟	人員異動或出事後立即更換
備份	自動備份檔案與資料庫，存放在網站主機以外的地方，知道怎麼還原	依網站更新頻率決定，官方建議定期自動備份
帳號在自己名下	網域、主機、Search Console 擁有者都是店家自己的帳號，廠商用被授權的身分管理	簽約時、換廠商時
Search Console 通知	訊息可以轉寄到你每天會看的信箱	設定一次，換信箱時更新
site: 巡查	搜尋 site:你的網域，沒有不是你寫的網頁	每月
第三方元件	網站上的嵌入元件、廣告、外部程式碼都來自可信來源	新增時

「帳號在自己名下」這一項最常被忽略。網域與主機登記在誰名下、維護費包含哪些工作，可以看商家網站費用拆解的網域、主機與維護三節。如果你的 Facebook 粉專或 Instagram 也曾被盜，帳號權限的整理方式類似，見粉專、IG 被盜或被停用的處理流程。

常見誤解

• 「把怪頁面刪掉就好。」沒有修補漏洞、沒有換密碼、沒有清掉駭客帳號，頁面很快會再出現；刪完也要回安全性問題報告要求審查，警告才會移除。
• 「我自己打開沒看到警告，應該是 Google 誤判。」安全瀏覽依瀏覽情境顯示警告，自己看不到很正常，要以安全性問題報告為準。真的認為被誤判，web.dev 建議先檢查網頁，再到 Google 搜尋中心說明社群發問。
• 「用 robots.txt 擋起來，客人就看不到。」robots.txt 只擋檢索器，不擋訪客；送審時還必須讓 Googlebot 能檢索。
• 「先修首頁，其他慢慢來。」Search Console 說明寫明只修部分網頁無法讓這些網頁回到搜尋結果，所有網頁、所有問題都要修完。
• 「被駭後暫時關站，排名會掉光。」web.dev 說明復原期間暫時下線不太可能影響日後排名；放著讓訪客接觸有害內容的風險更大。

需要協助的時候

如果清查後發現網站系統太舊、外掛多到沒人知道用途，或帳號一直不在自己名下，可以考慮趁這次重新整理網站。捷萊的相關服務見店家網站方案：店家一頁式網站（投放廣告用）NT$35,000 一次性、形象網站（SEO 架構）NT$65,000 一次性。可以先把安全性問題報告的截圖與目前網站的管理方式傳給我們，先看現況再回覆。其他網站相關的整理見網站主題文章。